Kritische oder wichtige Funktion – Kronjuwelen oder Modeschmuck? Kronjuwelen kosten. In der Anschaffung – und erst recht im Schutz. Die BaFin hat sich zur Menge der Kronjuwelen geäußert und findet: Die Banken haben davon mitunter zu wenige. Spannend. Denn diejenigen, die die Rechnung für Schutz, Absicherung und Governance nicht zahlen, treiben damit den Preis von
Kronjuwelen oder Modeschmuck Weiterlesen »
Vertraulichkeit und Integrität der Daten in der kwF-Bestimmung nach DORA? Ein Kategorienfehler Auf den Artikel zur Bestimmung der kritischen oder wichtigen Funktion (DORA) hin wurde die HUG GmbH in einer persönlichen Nachricht mit folgender Frage konfrontiert: Wie sie zu der Aussage stehe, der BaFin fehlten bei der Bestimmung der kwF die Werte Confidentiality und
Vertraulichkeit und Integrität von Daten Weiterlesen »
Wichtig ist wie kritisch – nur „ohne Zeit“ Kritische oder wichtige Funktion (DORA): Warum die Business Impact Analyse geeignet ist – wenn man sie richtig liest. Die Verordnung (EU) 2022/2554 (DORA) etabliert mit der kritischen oder wichtigen Funktion (kwF) einen zentralen Steuerungsbegriff für das IKT-Risikomanagement von Finanzunternehmen. Die zugrunde liegende Definition vereint jedoch unterschiedliche Arten
Wichtig ist wie kritisch – nur „ohne Zeit“ Weiterlesen »
Die ODER-Falle der Aufsicht Das „Pest-oder-Cholera“-Szenario, wenn kritische und wichtige Funktionen „richtig“ ermittelt werden Gestern fand die BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor – das erste Jahr DORA“ statt. Die Aufsicht nutzte die Bühne, um einige der drängendsten Fragen rund um DORA zu adressieren – zumindest war dies der Anspruch. Doch beim genaueren Hinsehen stellt sich
Die ODER-Falle der Aufsicht Weiterlesen »
Das Phantom im Informationsregister nach DORA DORA will „die Großen“. Bekommen hat man sie angeblich noch nicht. Es rumort. Man hört, die Aufsicht vermisst die großen IKT-Dienstleister. Im Informationsregister nach DORA – Fehlanzeige. Aus Gesprächen mit vielen unserer Kunden zeigt sich ein überraschend einheitliches Bild: Eine erhebliche Zahl von Instituten hat Hyperscaler und die
Das Phantom im Informationsregister nach DORA Weiterlesen »
Wie sich DORA- und NIS2-Meldepflichten verzahnen lassen Praktische Tipps für Unternehmen mit Doppelverantwortung Die regulatorischen Anforderungen an Cybersicherheit steigen – und mit ihnen die Komplexität der Meldepflichten. Wer gleichzeitig unter die EU-Verordnung DORA und die NIS2-Richtlinie fällt, steht vor einer besonderen Herausforderung: Fristen, Meldewege und Empfänger unterscheiden sich teils erheblich. Wie lassen sich diese
Wie sich DORA- und NIS2-Meldepflichten verzahnen lassen Weiterlesen »
Drei operative Problemfelder, die Unternehmen jetzt im Blick haben müssen Zwei Regelwerke, eine wachsende Unsicherheit – NIS2 und DORA Die NIS2-Richtlinie gilt auf EU-Ebene seit Januar 2023. In Deutschland liegt der Entwurf für das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz seit dem 23. Juni 2025 vor. Die Verabschiedung verzögert sich – Sommerpause, offene politische Prioritäten. DORA gilt
Drei operative Problemfelder Weiterlesen »
DORA und die konsultierten Guidelines on the sound management of third-party risk Einordnung und Bewertung Die künstliche Trennung in „Auslagerung“ und „sonstigen Fremdbezug“ war fachlich häufig schon kontraproduktiv. Jetzt kommen „IKT“ vs. „Non-IKT“, „Third-Party Services“ (TPS) vs. „Outsourcing“ hinzu. Diese zunehmende „Schubladisierung“ führt dazu, dass Organisationen zunächst viel Energie darauf verwenden müssen, überhaupt zu definieren,
DORA und die konsultierten Guidelines Weiterlesen »
